Bug-Bounty-Programme funktionieren nur, wenn beide Seiten mitspielen. Wie das im Idealfall aussieht, lässt sich gerade an Samsung beobachten: Die Sicherheitsfirma Oversecured hat zwischen 2022 und 2025 insgesamt 176 Schwachstellen in vorinstallierten Samsung-Apps gefunden und gemeldet. Alle sind inzwischen geschlossen.
Was Samsung dafür gezahlt hat
Für ihre Arbeit hat Oversecured über Samsungs Bug-Bounty-Programm bislang 163.475 US-Dollar an Prämien kassiert und steht damit an der Spitze von Samsungs Rangliste für Sicherheitsforschung. Dokumentiert und ausgezahlt sind bisher 140 der 176 Funde, die übrigen 36 stehen noch ohne Details in der Liste.
Die höchste Einzelprämie von 13.770 Dollar gab es für eine Lücke in SmartThings, über die sich Nutzeraktivitäten und Ereignisse auslesen ließen. 10.310 Dollar brachte ein Fehler in der Kamera-Test-App FactoryCamera, mit dem sich Dateien mit Systemrechten beschädigen ließen.
SmartDroid.de bei Google folgenBetroffen war fast der ganze Samsung-Kosmos
Die Funde ziehen sich quer durch Samsungs eigene Software: Settings, Galaxy Store, Samsung Cloud, Samsung Pay, Samsung Health, My Files und viele mehr. Über eine Lücke in Samsung Pay ließ sich auf beliebige Content Provider zugreifen, via Samsung Cloud waren Auth-Token, Kaufhistorie und die letzten vier Ziffern der Kreditkarte abgreifbar.
Die meisten Schwachstellen setzen eine bereits installierte Schad-App voraus. Über Tricks wie Intent Redirection oder ungeschützte Content Provider kam so eine App an Rechte oder Daten, die ihr eigentlich verwehrt bleiben. In zwei Fällen steckten sogar fest im Code hinterlegte AES-Schlüssel.
Für Nutzer vor allem eine gute Nachricht
Klingt nach viel, ist aber vor allem beruhigend: Samsung hat die Meldungen laut Oversecured schnell abgearbeitet. „Wir waren beeindruckt von Samsungs schneller Reaktion und dem effizienten Umgang mit den von uns gemeldeten Schwachstellen“, schreibt die Firma. Wer die monatlichen Sicherheitsupdates einspielt, ist ohnehin auf der sicheren Seite. Erst kürzlich hatte Samsung etwa den „sicheren Ordner“ nachgebessert, der Außenstehenden verraten konnte, welche Apps darin stecken.
Große Worte, eigenes Interesse
Oversecured formuliert das Ergebnis selbstbewusst: Millionen Samsung-Nutzer könnten sich sicher sein, dass ihre Geräte jetzt „genauso sicher sind wie solche mit reinem AOSP“, also mit dem nackten Android Open Source Project ohne die vielen Zusatz-Apps der Hersteller. Ob man das so unterschreiben will, sei dahingestellt.
Ganz uneigennützig ist der Bericht nämlich nicht: Oversecured verkauft einen eigenen Scanner und nutzt die 176 Funde erkennbar als Werbung dafür. Dass ausgerechnet sensible Apps wie Pay, Cloud und Health betroffen waren, zeigt aber auch, wie viel Angriffsfläche ein Hersteller mit derart vielen eigenen Apps schafft. Gut, dass hier jemand systematisch hingeschaut hat.
via Heise
